分析 10659 份公开 MCP 配置，作者开源零上传安全扫描器 rxray
Lopsided_Sign1696 · reddit · 2026-11-14
开发者基于对 10,659 份公开 MCP 配置的分析，开源了面向 AI 辅助代码库与 MCP 环境的安全/供应链/LLM 上下文扫描器 RepoXray（npm 包 rxray）：同构 TypeScript 引擎，可 100% 客户端运行在隔离的浏览器 Web Worker 中（零源码上传），也有约 20KB 零依赖 CLI（npx rxray .），并以 SLSA OIDC 签名。
核心能力：
- 供应链与 AI slopsquatting 防御：通过 Google OSV.dev 批量 CVE 审计、lockfile 精确解析、检测 LLM 幻觉出的未注册 404 包、npm 恶意占位包与恶意 postinstall 钩子
- MCP 配置审计（规则来自实证分析）：错误 registry 的 MCP 调用（uvx vs npm）、vendor 作用域仿冒（@anthropic/ vs @anthropic-ai/）、未固定 commit SHA 的 Git 安装、env 块中的明文密钥
- 密钥与 SAST 扫描：高精度正则 + Shannon 熵过滤并自动脱敏，静态检查 SQL 模板注入、不安全 shell 插值与动态 eval
- 确定性 AI guardrail 编译器：计算 LLM token 浪费，生成定制 .aiignore 与 AGENTS.md，附带 <1s 离线 Git pre-commit 门禁
上线 48 小时 npm 下载超 1,160 次，已发布 npm 与 GitHub Marketplace，MIT 开源。
「编程与Agent」频道最新
- TestPrune:只跑相关回归测试,破解 AI 自动修 bug 的验证瓶颈 — burkov · 2026-11-14
- Databricks 基准：上下文层让数据 agent 准确率 91% 远超前沿模型 58% — CautiousUse8597 · 2026-11-14
- 开发者晒「无 localhost」工作流:AI 直接从 prompt 上生产环境 — marclou · 2026-11-14
- HeyGen MCP 演示：一句话让 ChatGPT 订票并生成生日祝福视频 — toolstelegraph · 2026-11-14
- 开源 Plenio 2.0：ComfyUI 里输入想法直出母带级成曲，还带 VST3 — Vivid_Promise1700 · 2026-11-14
- 云上 3D 棋馆玩反向图灵测试：用一条 MCP 命令把 Claude 偷偷带进对局 — Responsible-Radio634 · 2026-11-14